Bernhard C.Witt. IT-Sicherheit kompakt und verständlich

Transkript

1 Bernhard C.Witt IT-Sicherheit kompakt und verständlich

2 Edition <kes> Herausgegeben von Peter Hohl Mit der allgegenwärtigen Computertechnik ist auch die Bedeutung der Sicherheit von Informationen und IT-Systemen immens gestiegen. Angesichts der komplexen Materie und des schnellen Fortschritts der Informationstechnik benötigen IT-Profis dazu fundiertes und gut aufbereitetes Wissen. Die Buchreihe Edition <kes> liefert das notwendige Know-how, fördert das Risikobewusstsein und hilft bei der Entwicklung und Umsetzung von Lösungen zur Sicherheit von IT-Systemen und ihrer Umgebung. Herausgeber der Reihe ist Peter Hohl. Er ist darüber hinaus Herausgeber der <kes> Die Zeitschrift für Informations-Sicherheit (s.a. die seit 1985 im SecuMedia Verlag erscheint. Die <kes> behandelt alle sicherheitsrelevanten Themen von Audits über Sicherheits-Policies bis hin zu Verschlüsselung und Zugangskontrolle. Außerdem liefert sie Informationen über neue Sicherheits- Hard- und -Software sowie die einschlägige Gesetzgebung zu Multimedia und Datenschutz. Praxis des IT-Rechts Von Horst Speichert IT-Sicherheit Make or Buy Von Marco Kleiner, Lucas Müller und Mario Köhler Mehr IT-Sicherheit durch Pen-Tests Von Enno Rey, Michael Thumann und Dominick Baier Der IT Security Manager Von Heinrich Kersten und Gerhard Klett ITIL Security Management realisieren Von Jochen Brunnstein IT-Risiko-Management mit System Von Hans-Peter Königs IT-Sicherheit kompakt und verständlich Von Bernhard C.Witt

3 Bernhard C.Witt IT-Sicherheit kompakt und verständlich Eine praxisorientierte Einführung Mit 80 Abbildungen

4 Bibliografische Information Der Deutschen Nationalbibliothek Die Deutsche Nationalbibliothek verzeichnet diese Publikation in der Deutschen Nationalbibliografie; detaillierte bibliografische Daten sind im Internet über < abrufbar. Das in diesem Werk enthaltene Programm-Material ist mit keiner Verpflichtung oder Garantie irgendeiner Art verbunden. Der Autor übernimmt infolgedessen keine Verantwortung und wird keine daraus folgende oder sonstige Haftung übernehmen, die auf irgendeine Art aus der Benutzung dieses Programm- Materials oder Teilen davon entsteht. Die Wiedergabe von Gebrauchsnamen, Handelsnamen, Warenbezeichnungen usw. in diesem Werk berechtigt auch ohne besondere Kennzeichnung nicht zu der Annahme, dass solche Namen im Sinne von Warenzeichen- und Markenschutz-Gesetzgebung als frei zu betrachten wären und daher von jedermann benutzt werden dürfen. Höchste inhaltliche und technische Qualität unserer Produkte ist unser Ziel. Bei der Produktion und Auslieferung unserer Bücher wollen wir die Umwelt schonen: Dieses Buch ist auf säurefreiem und chlorfrei gebleichtem Papier gedruckt. Die Einschweißfolie besteht aus Polyäthylen und damit aus organischen Grundstoffen, die weder bei der Herstellung noch bei der Verbrennung Schadstoffe freisetzen. 1. Auflage Dezember 2006 Alle Rechte vorbehalten Friedr.Vieweg & Sohn Verlag GWV Fachverlage GmbH, Wiesbaden 2006 Lektorat: Günter Schulz / Andrea Broßler Der Vieweg Verlag ist ein Unternehmen von Springer Science+Business Media. Das Werk einschließlich aller seiner Teile ist urheberrechtlich geschützt. Jede Verwertung außerhalb der engen Grenzen des Urheberrechtsgesetzes ist ohne Zustimmung des Verlags unzulässig und strafbar. Das gilt insbesondere für Vervielfältigungen, Übersetzungen, Mikroverfilmungen und die Einspeicherung und Verarbeitung in elektronischen Systemen. Konzeption und Layout des Umschlags: Ulrike Weigel, Umschlagbild: Nina Faber de.sign, Wiesbaden Druck- und buchbinderische Verarbeitung: MercedesDruck, Berlin Printed in Germany ISBN

5 Vorwort Das vorliegende Buch "IT-Sicherheit kompakt und verständlich" basiert auf meiner Lehrveranstaltung zu den "Grundlagen des Datenschutzes und der IT-Sicherheit" im Hauptstudium der Informatik-Studiengänge bzw. dem dazugehörigen Masterprogramm an der Universität Ulm. Meine Lehrveranstaltung wie auch dieses Buch sollen dazu befähigen, tägliche Anforderungen der Berufspraxis im Bereich der IT-Sicherheit meistern zu können. Da aktuelle Entwicklungen verschiedene zu bewältigende Aufgaben stellen, wird ein fundiertes Überblickswissen und die Kenntnis, grundlegende Methoden auf neue Probleme übertragen zu können, gefordert. Beides ist damit eine wesentliche Zielsetzung dieses Buches. Die Grundlagen in Informationstechnik und Sicherheitsrecht verändern sich in immer kürzeren Zeitzyklen. So wurde z.b. kurz vor dem Abgabetermin vom Bundeskabinett noch eine Gesetzesvorlage zur Verschärfung des Computerstrafrechts beschlossen. Da jedoch noch unklar ist, wie das endgültige Gesetz dazu aussehen wird, wurde dies nicht mehr berücksichtigt. Das Buch ist auf aktuellem Stand, berücksichtigt etliche konkrete Erfahrungen aus der beruflichen Praxis und gewährt so einen Einblick in den Alltag eines Beraters für Datenschutz und IT-Sicherheit. Um ein Vorhaben wie dieses Buch verwirklichen zu können, bedarf es der Unterstützung vieler Menschen, denen ich an dieser Stelle meinen Dank aussprechen möchte. Insbesondere möchte ich mich bei Holger Heimann, dem Geschäftsführer der it.sec GmbH & Co. KG, für die anregenden Fachgespräche und die Unterstützung bedanken. Für die Unterstützung bei juristischen Fragen danke ich Rechtsanwalt Prof. Dr. Wolfram Gass. Ohne die Geduld, konstruktive Kritik und Unterstützung meiner Frau wäre dieses Buch wohl nicht zustande gekommen. Auch für die Bearbeitung der Grafiken und die für mich damit verbundene Zeitersparnis möchte ich mich herzlich bei ihr bedanken. Dieses Buch erscheint in der Edition <kes>. Mit freundlicher Genehmigung der <kes>-redaktion wurden die bisherigen Sicherheitsstudien zur Verfügung gestellt, um einer Langfristanalyse unterzogen zu werden. Meine Ausführungen werden daher durch V

6 Vorwort Auswertungen des vorliegenden Zahlenmaterials aus den <kes>- Sicherheitsstudien ergänzt. Für die Bereitstellung des Zahlenmaterials möchte ich mich daher herzlich bei Norbert Luckhardt bedanken. Mein besonderer Dank geht an den Vieweg-Verlag und dessen langjährigen IT-Programmleiter Dr. Reinald Klockenbusch, mit dem der genauere Zuschnitt dieses Buches besprochen wurde und der die verlagsinternen Prozesse auf den Weg gebracht hat. Das Buch bildet eine Einheit mit "Datenschutz kompakt und verständlich", das 2007 erscheint, auch wenn beide Bücher für sich gesehen vollständig und eigenständig sind. Nicht zuletzt möchte ich mich bei den Studierenden meiner Lehrveranstaltung für die konstruktiven Diskussionen bedanken, deren Ergebnisse Eingang in dieses Buch gefunden haben. Das Buch "IT-Sicherheit kompakt und verständlich" ist für die Praxis geschrieben, daher wird auf umfassende theoretische Herleitungen ebenso verzichtet wie auf detaillierte technische Darstellungen. Möge es Ihnen einen Überblick über die grundlegenden Prinzipien der IT-Sicherheit bieten und Lösungsansatz für ganz konkrete Alltagsprobleme sein! Neu-Ulm, im September 2006 Bernhard C. Witt VI

7 Inhaltsverzeichnis 1 Grundlagen der IT-Sicherheit Übersicht Gewährleistung der Compliance Herangehensweise Rechtliche Anforderungen an IT-Sicherheit Sorgfaltspflicht Datenschutz Schutz des Fernmeldegeheimnisses Haftungs-, Ordnungs- und Strafrecht Informationstechnische Anforderungen an IT-Sicherheit Informationen Fortentwicklung der Informationstechnik Informationstechnische Bedrohungen Standards zur IT-Sicherheit TCSEC (Orange Book) IT-Kriterien (Grünbuch) ITSEC Common Criteria (ISO/IEC 15408) IT-Grundschutz-Kataloge Informationssicherheitsmanagement (ISO/IEC 27000ff) ITIL und ISO/IEC Unternehmensspezifische Anforderungen an IT-Sicherheit Branchenzugehörigkeit und Marktstellung Innerbetriebliche Organisation Zusammenfassung Zusammenfassung: rechtliche Anforderungen...55 VII

8 Inhaltsverzeichnis Zusammenfassung: informationstechnische Anforderungen Zusammenfassung: beachtenswerte Sicherheitsstandards Zusammenfassung: unternehmensspezifische Anforderungen Mehrseitige IT-Sicherheit Grundsätze mehrseitiger IT-Sicherheit Grundsatz des Ausgleichs unterschiedlicher Interessen Grundsatz minimalen Vertrauens Die Unterscheidung von Safety und Security Verlässlichkeit von IT-Systemen Verfügbarkeit Integrität Vertraulichkeit Beherrschbarkeit von IT-Systemen Zurechenbarkeit Rechtsverbindlichkeit Spezielle Aspekte mehrseitiger IT-Sicherheit Verifikation und Validierung von IT-Systemen Softwareerstellung nach dem V-Modell XT Zusammenfassung Zusammenfassung: Grundsätze mehrseitiger IT-Sicherheit Zusammenfassung: Verlässlichkeit von IT-Systemen Zusammenfassung: Beherrschbarkeit von IT-Systemen Zusammenfassung: Spezielle Aspekte mehrseitiger IT-Sicherheit Risikomanagement IT-Sicherheit und Risikomanagement Besonderheit der Risiken von IT-Systemen Unterschiede bei Erstellung und Betrieb von IT-Systemen Dimensionen der IT-Risiken...97 VIII

9 Inhaltsverzeichnis 3.2 Prozess des Risikomanagements Aufgaben des Risikomanagements Feststellung von IT-Risiken Vorgehen zur Risikoanalyse Fehlerbaum-Analyse Angriffsbaum-Analyse Fehlermöglichkeits- und -einflussanalyse (FMEA) Methoden zur Risikobewertung Risikotabelle und Risikomatrix Risikoportfolio und Risk-Map SWOT-Analyse und Balanced Score Card (BSC) Umgang mit Risiken Risiko-Behandlung Überwachung der Risiken Zusammenfassung Zusammenfassung: IT-Sicherheit und Risikomanagement Zusammenfassung: Prozess des Risikomanagements Zusammenfassung: Vorgehen zur Risikoanalyse Zusammenfassung: Methoden zur Risikobewertung Zusammenfassung: Umgang mit Risiken Verhältnis zum Datenschutz Abgleich von Datenschutz und IT-Sicherheit Technische und organisatorische Maßnahmen Datenschutzbeauftragter und IT-Sicherheitsbeauftragter Sichtweisen von Datenschutz und IT-Sicherheit Datenschutzfreundliche Techniken Prinzipien datenschutzfreundlicher Techniken Zusammenfassung Zusammenfassung: Abgleich von Datenschutz und IT-Sicherheit Zusammenfassung: Datenschutzfreundliche Techniken IX

10 Inhaltsverzeichnis 5 IT-Sicherheit in ausgewählten Bereichen Konstruktion sicherer IT-Systeme Allgemeine Konstruktionsregeln Prinzipien für Sicherheitsprozesse Konzeption mehrseitiger IT-Sicherheit Architektur von IT-Systemen IT-Sicherheit im laufenden Betrieb Innerbetriebliche Aufgabenteilung Netzwerksicherheit ISO/OSI-Referenzmodell (ISO/IEC ) Maßnahmen zur Netzwerksicherheit Firewalls Systemsicherheit Verfahren zur Authentifizierung Rechteverwaltung Zusammenfassung Zusammenfassung: Konstruktion sicherer IT-Systeme Zusammenfassung: Konzeption mehrseitiger IT-Sicherheit Zusammenfassung: Netzwerksicherheit Zusammenfassung: Systemsicherheit Aktuelle Entwicklungen Allgegenwärtige Informationstechnik RFID-Systeme Technische Konvergenz Voice over IP Ausblick Neue Herausforderungen Zusammenfassung X

11 Inhaltsverzeichnis Zusammenfassung: Allgegenwärtige Informationstechnik Zusammenfassung: Technische Konvergenz Zusammenfassung: Ausblick Literaturverzeichnis Urteilsverzeichnis Abbildungsverzeichnis Stichwortverzeichnis XI